A maior dificuldade de Privacy by Design que encontro está no momento em que o projeto chega para a área de privacidade.
O que vejo com frequência são projetos que já chegam prontos para avaliação de privacidade. Ou seja, fornecedor escolhido, fluxo desenhado, contrato perto da assinatura e data de lançamento marcada.
Nesse estágio, a avaliação deixa de ser desenho e vira conferência. No fundo, a área de negócio só quer saber se dá para liberar a tempo.
Com isso, qualquer ajuste relevante passa a ter custo. Sugerir redução dos dados coletados, revisão da base legal, mudança do fluxo de compartilhamento ou exigir mais garantias do fornecedor significa retrabalho e atraso. E privacidade vira, mais uma vez, a área que trava o projeto.
O nome da metodologia já diz quando ela deveria entrar. A avaliação faz sentido enquanto ainda dá para mexer na arquitetura, no formulário, no volume de dados e na escolha do parceiro. Depois disso, o que sobra é mitigação. Às vezes uma mitigação boa. Às vezes só um aviso de privacidade mais caprichado tentando compensar uma decisão que já foi tomada.
O efeito colateral é um ciclo curioso. Quanto mais tarde a privacidade entra, mais ela parece burocracia. E quanto mais parece burocracia, mais as áreas deixam essa etapa para o fim.